La DGFiP emploie plus d'informaticiens que Mistral AI n'a de salariés, et 678 000 dossiers fiscaux se sont retrouvés en vente

Le 14 août 2026, Bercy a reconnu que des identifiants volés avaient permis à un tiers de consulter et d’extraire les données fiscales de 678 000 particuliers et professionnels. Revenu fiscal de référence, quotient familial, taux de prélèvement à la source, adresses et surfaces de biens immobiliers. Au même moment, l’informatique de la DGFiP fait travailler environ 5 000 personnes, soit trois à quatre fois l’effectif total de Mistral AI. Le sujet n’est donc pas le nombre d’informaticiens. Et le risque le plus grave n’est pas celui dont on parle : il est physique, à votre domicile.

Ce qui s’est passé, dans l’ordre

Deux accès frauduleux, en juin et en juillet 2026. Le point d’entrée n’est ni une faille exotique ni un exploit à la mode. Les identifiants d’un agent de la DGFiP et ceux d’un tiers habilité ont été usurpés, ce que confirme le communiqué de Bercy. Selon les éléments rapportés depuis, ces identifiants ouvraient un accès VPN, puis un outil interne de recherche sur les particuliers et les professionnels. (presse.economie.gouv.fr, Alliancy)

Fin juin, la DGFiP repère un accès anormal lors d’un contrôle et coupe le compte concerné. Elle ne voit pas que des données sont déjà sorties. (Alliancy)

Les 12 et 13 août, un individu se présentant sous le pseudonyme ZeroBytes revendique l’intrusion sur un forum spécialisé et met le fichier en vente. Le 13, Bercy confirme. Le 14, le ministère publie son communiqué, saisit la CNIL et dépose plainte. Le 17, une réunion interministérielle se tient, un audit de l’ANSSI est demandé et les premiers courriels partent vers les personnes concernées. Le 18, la CNIL annonce ses vérifications. (CNIL)

Ce qui n’a pas été pris : les mots de passe et les espaces particuliers sur impots.gouv.fr. C’est important, et Bercy a raison de le préciser.

Ce qui a été pris l’est davantage. Un mot de passe se change en trente secondes. Un revenu fiscal de référence, un quotient familial, une adresse et la surface d’une maison ne se changent pas. Ces données resteront exactes pendant des années, et elles décrivent précisément ce qu’un escroc cherche à savoir avant de décrocher son téléphone : qui a de l’argent, combien, et avec combien de personnes à charge.

L’attaquant revendique en plus 252 149 lignes de données cadastrales, correspondant à plus de deux millions de propriétaires, extraites du serveur professionnel de données cadastrales ouvert depuis 2003 aux notaires et aux géomètres-experts. Bercy confirme la consultation de données cadastrales sans reprendre ce volume. Je le cite pour ce qu’il est : une revendication de pirate, à prendre avec des pincettes. (FrenchBreaches, Légifrance)

Le chiffre que personne ne met en face

Organisation	Effectif
DGFiP, informatique seule	environ 5 000 agents (février 2026)
DGFiP, toutes missions	environ 94 500 agents (rapport d’activité 2025)
OpenAI	4 500 à 7 500 salariés selon les estimations (2026)
Anthropic	3 800 à 5 000 salariés selon les estimations (2026)
Mistral AI	1 200 à 1 500 salariés selon les estimations (2026)

Le chiffre de 5 000 ne vient pas d’un syndicat ni d’un rapport à charge. Il vient de Tomasz Blanc, qui dirige l’informatique de la DGFiP, dans un entretien publié le 27 février 2026. Il y décrit aussi environ 800 applications, un système d’information vieux de quarante ans et 22 % du parc migré vers le cloud interne Nubo. (IT for Business)

À cela s’ajoutent 489,9 millions d’euros de crédits informatiques pour la seule DGFiP en 2025, en hausse de 22 millions par rapport à 2024. (Sénat)

Les effectifs d’OpenAI, d’Anthropic et de Mistral ne sont pas publiés par les sociétés elles-mêmes. Les fourchettes ci-dessus viennent de cabinets qui comptent les profils professionnels en ligne et de la presse économique, avec une marge d’erreur réelle. L’ordre de grandeur, lui, ne fait pas débat. (Revelio Labs)

L’informatique de la DGFiP, prise seule, pèse donc plus lourd que le champion français de l’intelligence artificielle dans sa totalité, et joue dans la même catégorie qu’Anthropic ou OpenAI.

La comparaison est bancale, et c’est ce qui la rend intéressante

Autant le dire tout de suite : cette comparaison est injuste sur presque tous les plans.

L’informatique de la DGFiP n’a pas choisi son terrain. Elle fait tourner un système d’information de quarante ans, environ 800 applications, la collecte de l’impôt de près de 40 millions de foyers fiscaux, le paiement des retraites de l’État pour 2,5 millions de personnes et, bientôt, la facturation électronique de toutes les entreprises françaises. Mistral, Anthropic et OpenAI n’ont ni COBOL, ni fichier hérité des années 1970, ni obligation de continuité du service public. Mettez n’importe quelle start-up devant ce parc applicatif et elle avancera aussi lentement, sinon plus.

La comparaison ne tient donc pas sur la vitesse, ni sur l’agilité, ni sur la dette technique.

Elle tient sur un point, et c’est le seul qui nous intéresse ici : protéger un accès authentifié et s’apercevoir qu’on est en train de vider une base. Ce problème n’a rien de spécifiquement public. Il est documenté depuis dix ans, il se résout avec des outils du commerce, et la DGFiP a très largement les moyens de se les offrir.

Ce qui a échoué n’est pas un problème d’effectif

Le mode opératoire décrit par Bercy tient en deux temps. Voler des identifiants légitimes. Puis interroger l’outil interne par petites quantités, parfois de façon automatisée, en imitant un usage ordinaire, sans requête massive susceptible de déclencher une alerte.

Ce scénario a déjà eu lieu en France, deux fois, à très grande échelle.

En 2024, France Travail perd les données de 43 millions de personnes après l’usurpation de comptes de conseillers Cap emploi, obtenue par ingénierie sociale. La CNIL a sanctionné l’organisme de 5 millions d’euros le 22 janvier 2026. (CNIL)

En février 2024, Viamedis et Almerys perdent les données de 33 millions d’assurés sociaux après l’hameçonnage de comptes de professionnels de santé clients de leurs portails. (CNIL)

Trois des plus grosses fuites françaises, trois fois le même schéma : un accès professionnel légitime, puis un requêtage de masse que personne ne compte. Le point commun n’est ni le budget, ni le nombre d’informaticiens. C’est un modèle d’habilitation dans lequel un seul compte peut interroger la France entière, et une supervision qui surveille les entrées plutôt que les sorties.

Ce que font les entreprises auxquelles on nous demande de les comparer

Trois pratiques, parfaitement banales chez OpenAI, Anthropic ou Mistral.

La première est l’authentification résistante à l’hameçonnage. Google a déployé des clés physiques FIDO à ses 85 000 salariés début 2017 et n’a plus jamais eu un seul compte professionnel hameçonné avec succès depuis. Une clé coûte quelques dizaines d’euros. Rapportée aux agents et aux tiers habilités concernés, la facture reste sans commune mesure avec un fichier de 678 000 contribuables mis en vente. (Krebs on Security)

La deuxième est la limitation de débit et la détection d’anomalie sur les outils internes. Chez un éditeur sérieux, un compte qui interroge un annuaire client des milliers de fois en quelques semaines déclenche une alerte, même lentement, même « discrètement ». C’est exactement ce qui a manqué ici.

La troisième est le programme de primes aux chercheurs en sécurité, ouvert à tous. OpenAI paie jusqu’à 100 000 dollars une vulnérabilité critique. Anthropic a ouvert le sien au public sur HackerOne en mai 2026. Personne ne peut chercher une faille dans les outils internes de la DGFiP et être payé pour le signaler. (IT Pro, HackerOne)

Restons honnêtes : ces sociétés se font aussi avoir. En novembre 2025, Mixpanel, un prestataire d’analytique d’OpenAI, a été compromis par un hameçonnage par SMS visant un de ses salariés. Des noms, des adresses e-mail, des localisations approximatives et des données d’appareil d’utilisateurs de l’API ont fuité. OpenAI a publié la liste exacte de ce qui était concerné et de ce qui ne l’était pas. (OpenAI)

La question n’est donc pas l’invulnérabilité. Personne ne l’est. La question est le délai entre l’intrusion et l’aveu, et la précision de l’aveu.

À la DGFiP, l’anomalie est repérée fin juin, le compte est coupé, et il faut attendre qu’un pirate publie son butin le 12 août pour que l’administration découvre qu’elle a été vidée. Sept semaines pendant lesquelles l’administration pensait avoir refermé la porte.

La différence qui compte pour un épargnant

Vous pouvez fermer votre compte ChatGPT ce soir. Vous pouvez ne jamais ouvrir de compte chez Mistral. Vous ne pouvez pas fermer votre dossier fiscal.

C’est toute la différence entre une donnée confiée et une donnée exigée. Un client mécontent s’en va. Un contribuable, non.

Cette asymétrie se retrouve dans les sanctions. France Travail, établissement public, a payé 5 millions d’euros. Pour l’État lui-même, l’article 20 de la loi du 6 janvier 1978 exclut explicitement l’amende administrative : la CNIL peut enquêter sur la DGFiP, constater des manquements, ordonner des mesures correctrices, mais pas lui infliger d’amende. (Légifrance)

Et quand elle le peut, comme pour France Travail, la sanction est payée avec de l’argent public. Le vôtre.

Ce que ce fichier vaut réellement pour un escroc

Reprenez les champs volés et remettez-les dans l’ordre d’un scénario d’arnaque.

Le revenu fiscal de référence dit combien vous gagnez. Le quotient familial dit combien vous avez de personnes à charge. Le taux de prélèvement à la source affine la situation du foyer. L’adresse et la surface cadastrale disent si vous êtes propriétaire et de quoi. L’adresse e-mail et le téléphone disent comment vous joindre.

C’est le carnet d’adresses idéal pour l’arnaque au faux conseiller bancaire, qui ne fonctionne que si l’appelant a l’air de savoir. Jusqu’ici, il bluffait. Maintenant il peut annoncer un revenu fiscal de référence à l’euro près, ce qui suffit à faire tomber la méfiance de beaucoup de gens.

C’est aussi une liste de propriétaires exploitable pour de faux placements immobiliers, de fausses relances notariales ou de faux diagnostics obligatoires.

J’ai écrit ici plusieurs fois que les arnaques bancaires n’étaient pas près de s’arrêter. Elles viennent de recevoir une mise à jour de qualité, involontairement financée par l’administration fiscale.

Le risque dont personne ne parle, celui qui frappe à votre porte

On commente cette fuite comme un problème d’hameçonnage. C’est passer à côté du plus grave.

Reprenez les champs volés et mettez-les bout à bout. Nom. Adresse. Surface du bien. Revenu fiscal de référence. Nombre de personnes à charge. Cela ne décrit pas un prospect commercial. Cela décrit une adresse, une richesse estimée et la composition du foyer qui vit derrière la porte. Autrement dit, une liste de cibles triée par patrimoine.

Le courriel officiel confirme d’ailleurs que les coordonnées postales font partie des données exposées. Sa rubrique « Quel est le principal risque ? » cite l’hameçonnage, les appels frauduleux et, « plus marginalement », l’usurpation d’identité. Pas un mot sur le domicile. J’y reviens juste après, parce que ce silence n’a rien d’un accident.

Le précédent existe, il est français, et il est récent.

En juillet 2020, la base clients de Ledger, le fabricant français de portefeuilles à cryptomonnaies, fuite avec les noms, adresses postales et téléphones de 272 000 personnes. Ce qui a suivi n’a pas été qu’une vague de faux courriels. Des clients ont reçu à leur domicile des lettres d’extorsion, dont certaines contenaient des menaces physiques explicites. (Ledger, Bitdefender)

Puis la France est devenue le pays d’Europe occidentale qui concentre le plus d’enlèvements liés aux cryptoactifs. Le 30 juin 2026, devant l’association professionnelle du secteur, le ministre de l’Intérieur Laurent Nuñez a recensé 77 cas depuis janvier, contre 45 sur toute l’année 2025 et une trentaine en 2024. Le mode opératoire est presque toujours le même : on va chercher la personne chez elle, souvent en se présentant comme un livreur ou un policier, et on la contraint physiquement. (France Épargne, Cryptoast)

Le cas le plus connu est celui de David Balland, cofondateur de Ledger, enlevé avec sa compagne à Vierzon le 21 janvier 2025, libéré par le GIGN après avoir eu un doigt sectionné.

Le lien avec les données fiscales n’est pas une hypothèse de ma part. Il est déjà instruit.

Une agente de la direction des Finances publiques de Bobigny est mise en examen dans un dossier d’enlèvements visant des investisseurs en cryptomonnaies. L’enquête lui reproche d’avoir consulté un outil interne de la DGFiP qui agrège adresses, revenus et patrimoine déclaré, puis d’avoir transmis ces informations à un réseau criminel. L’affaire a été révélée par l’agression à son domicile de Montreuil, en septembre 2024, d’un surveillant de la prison de la Santé dont l’adresse avait été fournie par ce canal. La présomption d’innocence s’applique, et le dossier est toujours en cours. Mais le circuit décrit par les enquêteurs est exactement celui qui nous occupe ici : un accès légitime, une base qui sait tout, et une adresse qui finit chez des gens violents. (Journal du Coin)

Deux différences rendent la fuite d’août 2026 plus préoccupante que celle de Ledger.

La première tient au choix. Un détenteur de cryptomonnaies pouvait rester discret : ne rien publier, ne pas se vanter, faire livrer ailleurs. Un contribuable n’a rien choisi. On ne donne pas une fausse adresse à l’administration fiscale.

La seconde tient à la vigilance. Les détenteurs de cryptomonnaies savent depuis deux ans qu’ils sont des cibles et ont adapté leurs habitudes. Sur les 678 000 personnes concernées ici, l’immense majorité ne se pense pas comme une cible et ne changera strictement rien.

Je n’écris pas que 678 000 personnes vont être agressées. La probabilité individuelle reste faible, et je me méfie autant que vous des articles anxiogènes. C’est précisément le profil de risque qu’un bon père de famille traite en priorité : probabilité faible, conséquence irréversible, coût des contre-mesures proche de zéro. On ne raisonne pas autrement quand on installe un détecteur de fumée.

Cela vaut d’abord pour les quelque 200 000 dossiers dont les données cadastrales ont été consultées, c’est-à-dire les propriétaires, dont on connaît désormais l’adresse et la surface du bien.

La DGFiP a choisi de ne pas vous parler de ce risque

Je vais l’écrire sans précaution oratoire : cette omission n’est pas un oubli, c’est une décision.

Regardez comment le courriel officiel est construit. La DGFiP y indique elle-même que les coordonnées postales font partie des données exposées. Elle consacre ensuite une rubrique entière à la question « Quel est le principal risque ? », et elle la hiérarchise : « à titre principal », les escroqueries par message et par téléphone ; « plus marginalement », l’usurpation d’identité, aussitôt relativisée puisque « pour y parvenir, les acteurs malveillants doivent également se procurer la copie de vos papiers d’identité ». On ne rédige pas un paragraphe comme celui-là au fil de la plume. On classe, on pondère, on rassure. Ce qui manque dans un texte aussi calibré n’a pas été oublié, il a été écarté.

Le risque physique ne pouvait pas échapper à cette administration.

Elle sait qu’elle a laissé partir des adresses associées à un revenu fiscal et à des surfaces de biens immobiliers, puisque c’est elle qui en publie la liste. Elle sait que le ministère de l’Intérieur a recensé 77 enlèvements liés aux cryptoactifs sur le seul premier semestre 2026, et que le ciblage passe notamment par des fuites de données. Et elle sait, mieux que n’importe qui, qu’une de ses agentes est mise en examen dans un dossier où une adresse tirée d’un outil interne a conduit à une agression à domicile. C’est son propre dossier.

Le droit n’est pourtant pas ambigu. L’article 34 du RGPD impose que la communication adressée aux personnes concernées reprenne les éléments de l’article 33, paragraphe 3, dont la description des « conséquences probables de la violation ». Une liste d’adresses triée par revenu et par surface de bien a une conséquence probable qui ne s’appelle ni hameçonnage, ni usurpation d’identité. (CNIL)

Je veux bien entendre l’argument inverse, et il existe. Écrire noir sur blanc à 678 000 personnes qu’elles risquent une violation de domicile ou un rapt provoquerait une inquiétude disproportionnée au regard de la probabilité individuelle, et ferait un titre de journal télévisé désastreux pour Bercy. C’est exact.

Mais c’est précisément le calcul qu’une administration n’a pas à faire à votre place.

Taire un risque se défend quand la personne ne peut rien y faire. Ici, c’est l’inverse exact. Sur l’hameçonnage, la DGFiP peut agir : filtrer, alerter, faire fermer des domaines, poursuivre. Sur ce que vous gardez derrière votre porte d’entrée, vous êtes le seul à pouvoir décider quoi que ce soit. En passant ce risque sous silence, l’administration n’a pas protégé les gens de l’angoisse, elle les a privés de la seule mesure de protection qui ne dépendait que d’eux.

Un dernier détail achève de me convaincre. Le même courriel demande de surveiller les modifications d’adresse postale sur l’espace fiscal, dans les mois qui viennent. L’adresse a donc bien été identifiée comme un point sensible du dossier. Simplement, elle n’a été regardée que sous l’angle de la fraude administrative, jamais sous celui de la sécurité des personnes.

Le courriel officiel dit la bonne chose, puis donne un repère qui ne tient pas

Le courriel adressé aux personnes concernées à partir du 17 août 2026, intitulé « Consultation illégitime de vos informations fiscales », mérite d’être lu de près. J’ai pu en consulter une copie intégrale. Il est à la fois plus honnête et plus problématique que ce qu’on en a dit.

Plus honnête, d’abord. La DGFiP y écrit que les accès utilisés ont été fermés en juin puis en juillet, et ajoute : « Malheureusement, nous n’avons pas repéré à ce moment-là le vol de données, réalisé par contournement des circuits usuels. » Le message se termine par « Nous vous présentons toutes nos excuses. » Venant d’une administration, c’est assez rare pour être signalé.

Le courriel révèle aussi une catégorie de données que la plupart des articles ont oubliée. Outre l’identifiant fiscal, l’état civil, les coordonnées postales, téléphoniques et électroniques et la situation fiscale, l’attaquant a pu voir « la liste des messages que vous avez échangés avec la DGFiP par la messagerie d’impots.gouv.fr ». Autrement dit l’historique de vos échanges avec le fisc : une réclamation, une demande de délai, une rectification. De quoi rendre un appel frauduleux nettement plus crédible qu’un simple montant de revenu.

Vient ensuite le passage qui pose problème. Le courriel explique comment reconnaître un vrai message :

Les courriels de la DGFiP sont toujours informatifs : nous ne vous envoyons jamais de liens d’accès aux services en ligne et, plus généralement, aucune action n’est à réaliser en dehors de votre espace sécurisé. Les éventuels liens adressés par la DGFIP sont toujours sous la forme d’une adresse complète (et non un mot sur lequel cliquer qui cache l’adresse).

Trois paragraphes plus bas, le même courriel contient un lien cliquable vers une page d’actualité d’impots.gouv.fr. (impots.gouv.fr)

Formellement, la DGFiP ne se contredit pas : le lien est bien affiché sous la forme d’une adresse complète et ne mène pas à un service en ligne. Sauf que la presse a résumé la consigne en « le vrai courriel de la DGFiP ne contient aucun lien », et l’a présentée comme le critère principal pour repérer les imitations. Des centaines de milliers de personnes ont donc reçu un critère qui ne correspond pas au message qu’elles ont sous les yeux. (Selectra)

Le vrai problème est ailleurs, et il est technique. Dans un courriel au format HTML, le texte affiché et la destination réelle du lien sont deux choses indépendantes. Écrire l’adresse complète en toutes lettres ne prouve donc rien : un escroc affiche exactement la même adresse et pointe le lien vers son propre serveur. Le repère proposé à 678 000 personnes se contourne en dix secondes.

Le plus frustrant, c’est que la DGFiP a réussi la partie difficile. Son autre conseil, vérifier que la partie droite de l’adresse d’expéditeur est bien @dgfip.finances.gouv.fr, tient parfaitement, parce que la configuration derrière est sérieuse. Le domaine publie une politique DMARC en p=reject avec un SPF fermé, et impots.gouv.fr publie même un v=spf1 -all, ce qui revient à déclarer qu’aucun serveur au monde n’est autorisé à envoyer du courrier depuis ce domaine. Usurper l’expéditeur est donc réellement difficile. (Enregistrements DNS vérifiés le 18 août 2026.)

Ils ont fait le travail invisible, celui que personne ne lira jamais. Et ils ont raté la phrase que tout le monde va lire.

Ce qu’il reste à faire de son côté

Partez du principe que ces données sont désormais publiques et définitives. On ne révoque pas un revenu fiscal de référence.

N’agissez jamais sur un contact entrant. Un appel, un SMS ou un courriel qui vous demande quoi que ce soit se traite en raccrochant, puis en rappelant le numéro figurant sur votre relevé ou sur le site officiel que vous tapez vous-même dans le navigateur.

Retenez une règle simple : la DGFiP ne demande jamais de coordonnées bancaires par courriel ou par SMS, et un remboursement d’impôt ne nécessite jamais de confirmer un RIB sur un formulaire.

Méfiez-vous de la deuxième vague. Des sites vont proposer de vérifier si vos données ont fuité, contre vos informations. La vraie notification de la DGFiP et la fausse arriveront dans la même boîte, la même semaine. Comme le critère du lien cliquable ne tient pas, retenez celui qui tient : la partie droite de l’adresse d’expéditeur doit être exactement @dgfip.finances.gouv.fr. Pour le reste, on ne clique pas, on tape soi-même l’adresse du site dans le navigateur, ou on appelle le 0809 401 401.

Activez une authentification à deux facteurs sur la banque, le courtier, l’espace impots.gouv.fr et surtout la boîte e-mail principale, qui commande tout le reste. Préférez une application dédiée ou une clé physique au code par SMS.

Surveillez pendant plusieurs mois, pas plusieurs jours : relevés bancaires, prélèvements inconnus, courriers d’organismes de crédit que vous n’avez pas sollicités.

Surveillez aussi votre espace fiscal lui-même. La DGFiP annonce dans son courriel « une attention particulière sur toutes les modifications qui pourraient y être apportées au cours des prochains mois (adresse postale, RIB, etc.) ». Traduction : un RIB changé à votre insu, c’est un remboursement d’impôt détourné vers un compte qui n’est pas le vôtre.

En cas de fraude avérée, passez par cybermalveillance.gouv.fr et le dispositif 17Cyber, et déposez plainte. La CNIL étant déjà saisie du dossier, une plainte individuelle auprès d’elle n’apporte rien de plus.

Enfin, n’achetez rien qui se vende sur le dos de cette fuite. Les offres de protection contre l’usurpation d’identité qui vont fleurir dans les prochaines semaines n’empêchent aucune des attaques décrites ci-dessus.

À la maison, les réflexes qui ne coûtent rien

Le premier concerne l’or et les liquidités. Beaucoup de lecteurs détiennent des pièces, des lingots ou une réserve de billets chez eux. C’est la seule partie de votre patrimoine qu’un inconnu peut emporter en cinq minutes, sans traçabilité et sans recours. Si votre adresse et votre revenu fiscal circulent, la question du coffre en banque ou d’un support papier adossé à de l’or physique mérite d’être reposée sérieusement.

Le deuxième concerne l’assurance habitation. Relisez le plafond « objets de valeur » de votre contrat et les conditions qu’il impose, coffre scellé ou alarme. Beaucoup de contrats indemnisent quelques milliers d’euros de bijoux et de métaux précieux, très en dessous de ce que les gens gardent réellement chez eux.

Le troisième est comportemental. Aucune administration ne se présente à votre porte sans rendez-vous pour vérifier quoi que ce soit, et aucun agent des impôts ne vient contrôler un coffre à domicile. Quelqu’un qui sonne en annonçant un contrôle, une fuite de données ou une vérification de sécurité repart sans franchir le seuil, et vous rappelez le service par vos propres moyens. Le faux livreur et le faux policier sont les deux déguisements les plus fréquents dans les affaires jugées ces deux dernières années.

Le quatrième est la discrétion en ligne. Travaux, achat, voyage, véhicule neuf, réseau professionnel : ce que vous publiez complète assez bien le fichier volé.

Le réflexe patrimonial, celui qu’on oublie

Il reste un point plus structurel.

Chaque année, l’État élargit ce qu’il sait de votre patrimoine. Le fichier des comptes bancaires, la déclaration des biens immobiliers, la remontée automatique des actifs numériques, l’échange d’informations entre administrations fiscales européennes. Prise isolément, chaque obligation déclarative se défend. Toutes ensemble, elles construisent une base qui décrit votre patrimoine mieux que vous ne sauriez le faire de mémoire, et cette base a une valeur marchande pour qui la vole.

Un bon père de famille ne peut pas empêcher cette concentration. Il peut au moins cesser de la dupliquer lui-même. L’avis d’imposition est réclamé par les bailleurs, les banques, les écoles, les clubs de sport, les plateformes de location. Chaque copie transmise part dans un système d’information que vous n’avez jamais audité. Quand ce n’est pas légalement obligatoire, on ne le donne pas.

Ce que je retiens

L’État demande aux contribuables d’être irréprochables dans leurs déclarations, sous peine de majorations et d’intérêts de retard. La réciproque devrait être une obligation de sécurité sérieuse, et une sanction réelle quand elle n’est pas tenue.

En attendant, gardez l’ordre de grandeur en tête. Une administration de près de 95 000 agents, dont environ 5 000 en informatique et 490 millions d’euros de crédits annuels, s’est fait vider par deux identifiants volés et n’a rien vu pendant sept semaines. Une société de 1 200 personnes fait tourner des modèles utilisés dans le monde entier avec des clés physiques, des limites de débit et un programme de primes ouvert à n’importe qui.

L’écart ne vient pas des moyens. Il vient de ce dont on répond, et devant qui.

Et quand il a fallu prévenir les victimes, la même administration a listé les risques qu’elle savait gérer et tu celui qu’elle ne sait pas gérer. C’est peut-être le passage le plus révélateur de toute cette affaire.

En bon père de famille, vous ne sécuriserez pas le système d’information de l’État. Vous pouvez seulement réduire ce que vous lui confiez au strict nécessaire, traiter comme suspect tout message qui arrive en connaissant votre revenu fiscal de référence, et regarder d’un autre œil ce que vous gardez derrière votre porte d’entrée.

Rien dans cet article ne constitue un conseil en investissement ou un conseil juridique personnalisé. Les chiffres cités sont datés et sourcés ci-dessous.